ovpn-tun0[10.8.0.0/24] 和 hw-interface[172.16.0.0/16] 之间的路由问题

Question

我有一个我无法独自解决的问题。 我能够找到非常相似的问题，但似乎没有一个关注我的特定结局。

我们有什么？ 3台机器自带.networks，定义如下：

• Computer1角色：GW of 172.16.0.0/16 eth0 172.16.2.1/16 eth1 wanip/29

• Computer2角色：ovpnserver eth0 172.16.20.247/16 tun0 10.8.0.1/24

• Computer3 角色：想要 ping Computer1 eth0 10.0.0.236/24 [连接到它的 gw 10.0.0.150/24] tun0 10.8.0.6/24 的远程 pc

我能够完成这些任务：

• 成功的 ovpn 设置，因此 Computer3 ping Computer2 中的每个接口
• 在 Computer2 上成功启用路由
• 成功指示 Computer1 路由表通过 172.16.20.247 (ip route add) 到达 10.8.0.0/24
• 从 Computer1 ping Computer3（ping 10.8.0.6 实际响应）

我无法完成这些：

• 指示 Computer3 路由表通过 10.8.0.1 到达 172.16.0.0/16（错误：Nexthop 具有无效网关。）
• 从 Computer3 ping Computer1

我究竟做错了什么？ 我错过了什么？

提前致谢 真诚的 Marco

Answer 1

我做的！ 所以我决定分享我的经验，有一些我后来才发现的重要细节对于识别问题和解决方案至关重要。

省略的细节：

• OpenVPN 服务器安装在虚拟机上；
• 从 OVPN-Server 与 Gataway1 通信的网络接口是一个 USB 适配器。

我的个人研究表明，通过 VmWare 启用的 USB passtrough 可能会导致一些问题（有待验证...） 。

初步步骤 1：我删除了 USB-NetworkAdapter，并在我的 VmWare 物理主机中安装了 PCI-ex 1x.network 汽车。

初步步骤 2：我删除了 OpenVPN，并安装了 WireGuard，这是一种对 Linux 更友好的 VPN 服务。

现在我将写下我的设置日记：

1 - 设置 WireGuard 密钥和 ip 范围，在我的防火墙内启用其端口 (51820)；

2 - 启用 ipv4 转发；

3 - 在 Computer3 上安装 WireGuard；

4 - ClientSetup：在 wg0.conf 中进入 AllowedIPs 参数

AllowedIPs = 172.16.0.0/16, 10.8.0.0/24

其中第一个 ip 范围是 Computer1 网络（又名：Site1）第二个 ip 范围是 WG 网络（将 Site1 链接到 Site2）

5 - ServerSetup：wg0.conf 中的 PostUp 和 PreDown

[Interface]
PrivateKey = myprivatekey
Address = 10.8.0.1/24
ListenPort = 51820
SaveConfig = true
PostUp = ufw route allow in on wg0 out on enp4s0
PostUp = iptables -t nat -I POSTROUTING -o enp4s0 -j MASQUERADE
PreDown = ufw route delete allow in on wg0 out on enp4s0
PreDown = iptables -t nat -D POSTROUTING -o enp4s0 -j MASQUERADE

其中 enp4s0 是我的 WAN 接口

6 - 附加转发规则，让服务和端口自由打通

iptables -A FORWARD -i wg0 -o enp2s0 -j ACCEPT

iptables -A FORWARD -i enp2s0 -o wg0 -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE

（其中 enp2s0 是我全新的 PCI-ex 卡，物理连接到 Computer1）

7 - Computer 1 routing: ip route add 10.8.0.0/24 via 172.16.24.239 Where: 10.8.0.0/24 => WG.network 172.16.24.239 => enp2s0 IP, 安装在 Computer2 中（又名 wg 服务器）

GG给大家

<-------更新！------------>

为什么不添加一个额外的站点，称为“Site3”，由“Computer4”管理作为 Site3 GW？ 然后在 Computer4（site3 的 GW）上修复路由，遵循 site1 中 Computer1 的 sam 逻辑。

然后你需要对 iptables 进行一些集成，如下所示：

iptables -A FORWARD -i wg0 -o enp2s0 -j ACCEPT && iptables -A FORWARD -i enp2s0 -o wg0 -m state --state ESTABLISHED,RELATED -j ACCEPT && iptables -t nat -A POSTROUTING -o enp2s0 -j MASQUERADE && iptables -A FORWARD -i wg0 -o enp3s0 -j ACCEPT && iptables -A FORWARD -i enp3s0 -o wg0 -m state --state ESTABLISHED,RELATED -j ACCEPT && iptables -t nat -A POSTROUTING -o enp3s0 -j MASQUERADE

其中 enp3s0 是将 wireguard 服务器链接到 site3 的物理卡。

然后在您的 wg 客户端配置中添加 ip/sub fir site3，在我之前的示例中，结果将是：

AllowedIPs = 172.16.0.0/16, 172.18.190.0/24, 10.8.0.0/24